Alauda DevOps Pipelines Docs
  • 简体中文

    • 部署 Manual Approval Gate

    目录

    功能概述使用场景前提条件步骤1. 创建 ManualApprovalGate CR2. 验证 controller 健康状态3. 重新配置或强制滚动更新4. 卸载 Manual Approval Gate操作结果故障排查了解更多

    功能概述

    Manual Approval Gate 提供集群范围的 controller 和 webhooks，用于支撑 ApprovalTask 自定义任务。管理员必须创建并维护 ManualApprovalGate 自定义资源（CR），以便平台用户能够在其 pipeline 中插入人工审批。本指南说明如何在 tekton-pipelines 中部署 Manual Approval Gate 组件、定制运行时选项，以及安全地卸载它。

    使用场景

    • 通过提供托管的 controller，为集群中所有团队启用人工审批。
    • 通过 Operator 的 options 合同调整 controller 部署（例如副本数、资源限制或 ConfigMaps），而无需编辑 manifest。
    • 当不再需要审批任务时清理该功能。

    前提条件

    • Alauda DevOps Pipelines v4.6.0 或更高版本，并具有 cluster-admin 访问权限。
    • 已针对目标集群配置 kubectl。

    步骤

    1. 创建 ManualApprovalGate CR

    将 manifest 保存为 manual-approval-gate.yaml 并应用：

    apiVersion: operator.tekton.dev/v1alpha1
kind: ManualApprovalGate
metadata:
  name: manual-approval-gate
spec:
  targetNamespace: tekton-pipelines
  options:
    disabled: false
    kubectl apply -f manual-approval-gate.yaml
    • spec.targetNamespace 决定 controller 部署、webhooks 和 ConfigMaps 的创建位置。我们建议使用 tekton-pipelines，这样该组件可以与其他 Tekton 服务放在一起；但只要该 namespace 在应用 CR 之前已存在（或已创建），你也可以将其指向任意 namespace。
    • 使用 spec.options 可覆盖 Deployments、ConfigMaps 或 image 字段，而无需编辑生成的 YAML。有关详细语法，请参阅 Adjusting Optional Configuration Items of Subcomponents。

    2. 验证 controller 健康状态

    $ kubectl get manualapprovalgates.operator.tekton.dev manual-approval-gate

NAME                   VERSION          READY   REASON
manual-approval-gate   v0.7.0-4f10729   True
    $ kubectl get deployment -n tekton-pipelines | grep manual-approval-gate

manual-approval-gate-controller     1/1     1            1           1h1m
manual-approval-gate-webhook        1/1     1            1           1h1m

    CR 的 READY 状态必须显示为 True，并且你应该能看到 controller 和 webhook Deployments 在 tekton-pipelines 中运行。

    3. 重新配置或强制滚动更新

    • 通过 patch CR 调整副本数或其他选项；Operator 会自动滚动更新工作负载：

      kubectl patch manualapprovalgate manual-approval-gate \
  --type merge \
  --patch '{"spec":{"options":{"deployments":{"manual-approval-gate-controller":{"spec":{"replicas":2}}}}}}'

    4. 卸载 Manual Approval Gate

    $ kubectl delete manualapprovalgate manual-approval-gate
$ kubectl get deployment -n tekton-pipelines | grep manual-approval-gate

    CRD 会保留安装状态，因此你之后仍可重新创建该 CR，但 Deployments、Services 和 Webhooks 应该会消失。

    操作结果

    • kubectl get manualapprovalgates 会显示该实例的 READY=True、VERSION=<release>，以及空的 REASON 或 Installed。
    • kubectl get pods -n tekton-pipelines | grep manual-approval-gate 会列出处于 Running 状态的 controller 和 webhook pods。
    • 删除后，不会再保留任何带有相同 label 的 pods 或 services，且 Operator 会停止对 ApprovalTask 资源的协调，直到重新创建 CR。

    故障排查

    • ManualApprovalGate CR 卡在 NotReady： 运行 kubectl describe manualapprovalgate manual-approval-gate 查看 events，然后检查 Operator 日志（kubectl logs -n tekton-operator deploy/tekton-operator）。spec.options 中字段拼写错误或权限不足是最常见的根因。
    • controller/webhook pods 反复重启： 描述 tekton-pipelines 中失败的 pods，确认 TLS secrets 或 configuration maps 是否缺失。重新应用 CR 通常会自动重新创建这些资源。
    • 未创建 ApprovalTask 资源： 确保 ManualApprovalGate CR 仍然存在且 READY=True。如果它已被删除或处于失败状态，请在用户重新运行 pipeline 之前重新安装它。

    了解更多